CISA med syv nye ICS-varsler, kritisk hull i Siemens byggautomasjon

CISA publiserte 28. juli 2026 syv nye sikkerhetsvarsler for industrielle kontrollsystemer. Varslene omfatter fire Siemens-produkter, MikroTik RouterOS, mobilappen til igloohome-smartlåser og ABBs oppdateringsverktøy for KNX. Alvorligst er en sårbarhet i byggautomasjonsplattformen Siemens Desigo CC, som har fått CVSS-score 9,8 av 10. For flere av svakhetene i Siemens SIMATIC S7-1500 oppgir CISA at det foreløpig ikke finnes noen rettelse.

Hva som skjer teknisk

Sårbarheten i Desigo CC (CVE-2025-15467) er en skrivefeil utenfor tildelt minneområde. Det er en feilklasse der et program kan fås til å skrive data på steder i minnet det ikke skal, og slike feil kan i verste fall brukes til å kjøre angriperens egen kode. Vektoren CISA oppgir tilsier at angrepet kan utføres over nettet, uten forhåndspålogging og uten handling fra noen bruker. Mendix Runtime, Siemens sin plattform for lavkodeapplikasjoner, har en svakhet i rettighetshåndteringen med score 9,1 (CVE-2026-7891). MikroTik-sårbarheten (CVE-2026-16347, score 8,8) lar en angriper på samme nett gjette passord i høyt tempo og skaffe seg uautorisert tilgang til systemet.

Varselet for SIMATIC S7-1500 CPU 1518 skiller seg ut på en annen måte. Det samler en rekke kjente sårbarheter i programvarekomponentene styringsenheten bygger på, og for flere av dem oppgir CISA at rettelse foreløpig ikke er tilgjengelig. Situasjonen er ikke uvanlig i industrielle miljøer. Utstyret lever i tiår, og oppdateringer må ofte vente på planlagte vedlikeholdsvinduer. Da blir kompenserende tiltak viktigere enn patching. De to siste varslene gjelder tilgangsstyring i smartlåsappen til igloohome (score 5,3) og manglende integritetskontroll i ABBs oppdateringsverktøy for KNX-baserte byggsystemer (score 6,4).

Hva det betyr for deg som har ansvar for OT-utstyret

Dagens varsler treffer bredere enn klassisk industri. Byggautomasjon, adgangskontroll og nettverksutstyr står i tekniske rom hos norske virksomheter i de fleste sektorer, og systemene driftes ofte utenfor IT-avdelingens synsfelt. Har du en plattform som styrer ventilasjon, adgang og alarmer, er det operasjonell teknologi. Den fortjener etter vårt skjønn samme alvor som produksjonssystemene. NIS2-direktivet gjør denne typen risikostyring til et ledelsesansvar for vesentlige og viktige virksomheter.

Det viktigste for deg i dagens varsler er etter vår mening beskjeden om at flere svakheter foreløpig står uten rettelse. Der du ikke kan patche, må risikoen håndteres med arkitektur. Det betyr segmentering som skiller OT-nettet fra kontornettet, streng tilgangsstyring og overvåking som fanger opp unormal aktivitet. Vet du ikke hvilke av disse produktene du har, kan du heller ikke vurdere om du er berørt. Oversikt over egne systemer er derfor ditt første tiltak, ikke ditt siste.

Berigo anbefaler

• Kartlegg om virksomheten bruker berørte produkter, også i byggautomasjon og adgangskontroll som driftes av tredjepart.
• Les CISA-varslene for produktene dere har, og prioriter Desigo CC og MikroTik ut fra alvorlighetsgrad.
• Oppgrader der rettelse finnes, og planlegg det inn i første mulige vedlikeholdsvindu.
• Der rettelse mangler, innfør kompenserende tiltak: segmentering, minst mulig eksponering mot nett og skjerpet overvåking.
• Avklar med drifts- og byggleverandører hvem som har ansvaret for å oppdatere OT-utstyret.